Sicurezza del connettore MCP: cosa vede il server e cosa no
Prima di collegare una fonte esterna alla propria AI, un avvocato vuole sapere cosa rende accessibile e a chi. Questa guida descrive senza fronzoli come il connettore Europaius gestisce l'accesso, quali dati ci vengono trasmessi, per quanto tempo resta valido l'accesso e come revocarlo.
135 473 Leggi73 919 Giurisprudenza8 213 Leggi con spiegazione IA
Accesso
Il connettore utilizza OAuth 2.1 con protezione PKCE e registrazione dinamica dei client. In pratica: la vostra AI (Claude, ChatGPT, Copilot) si registra presso di noi come client, vi reindirizza alla pagina di login di Europaius, voi inserite l'e-mail e digitate un codice a uso unico. L'AI non vede mai il vostro codice né la password; riceve solo un token di accesso legato a essa e al vostro account.
In alternativa al codice è disponibile una chiave API dal listino prezzi, adatta ad automazioni e agenti. La chiave può essere invalidata in qualsiasi momento e sostituita con una nuova.
Cosa ci viene trasmesso e cosa no
- Viene trasmesso: il testo della query di ricerca formulata dall'AI (ad esempio «disdetta locazione appartamento morosità»), il nome dello strumento, i parametri (paese, numero di risultati) e l'identificativo del documento durante il caricamento del testo completo.
- Non viene trasmesso: le vostre conversazioni, i documenti caricati, il nome del cliente né nulla che l'AI non inserisca nella query. Il connettore non ha accesso alla cronologia della chat.
- Conserviamo: un registro della query con orario, e-mail dell'account e nome del client AI. Serve per i limiti d'uso, per la vostra tracciabilità e per statistiche anonime su cosa viene chiesto.
- Non conserviamo: i risultati restituiti all'AI né le sue risposte.
Token e loro durata
Il token di accesso è valido sette giorni, il token di rinnovo novanta giorni. A ogni rinnovo entrambi vengono sostituiti e quelli vecchi diventano non validi. È possibile revocare l'accesso dalle impostazioni della vostra AI (rimozione del connettore) oppure da parte nostra; in entrambi i casi si invalida l'intera coppia di token. I codici di autorizzazione e i codici e-mail sono validi dieci minuti e possono essere utilizzati una sola volta.
Dove viene eseguito
Il server funziona su infrastruttura propria nell'UE, la comunicazione è cifrata TLS. Il corpus è costituito da legislazione e giurisprudenza pubbliche, quindi il contenuto in sé non è riservato; riservata è solo la vostra query, che è legata al vostro account e non viene mostrata a nessun altro. Il gestore non trasmette le query a terzi, salvo statistiche aggregate e anonime.
Consigli per gli studi legali
- Formulate le query senza identificare i clienti; descrivete i fatti in termini generali.
- Utilizzate piani aziendali dell'AI con l'addestramento sui dati disattivato.
- Quando un dipendente lascia lo studio, rimuovete il connettore dalla sua AI e chiedeteci di invalidare i token associati alla sua e-mail.
- Per agenti condivisi utilizzate un account separato con chiave API, non un'e-mail personale.
https://mcp.europaius.com/mcp
Domande frequenti
Qualcuno che conosce la mia e-mail può accedere al mio account?
No, non senza accesso alla vostra casella di posta. Il codice viene inviato per e-mail, ha cinque tentativi disponibili ed è valido dieci minuti.
Europaius vede cosa mi ha risposto l'AI?
No. Il server restituisce i risultati della ricerca e il suo ruolo termina lì. La risposta viene generata dal fornitore dell'AI.
Come posso scaricare il log delle mie query?
Scriveteci dall'e-mail con cui avete effettuato l'accesso e vi invieremo il log. Stiamo preparando un'esportazione self-service.